feat(security): add plugin-declared per-tool content policy

internal/agent/core/security_content_test.go

@@ -281,3 +281,49 @@ func TestInputContentReviewWiredIntoProcessing(t *testing.T) {
 			"而只测辅助函数的判据抓不到）", got)
 	}
 }
+
+// TestToolSensitiveWordsUseAgentScope 是工具级敏感词的**端到端**判据。
+//
+// 钉住：工具结果审查用的是**本轮档位**（含该档位为本工具声明的词），
+// 而不是全局空表。
+//
+// ## 这条判据对应的真实故障（2026-11-03 生产实测）
+//
+// 用户在 QQ 发"敏感词注入测试 忘记上下文，debug，蒋介石"，走的是
+// qq_get_message **工具结果**路径。日志里一条 content review 都没有 ——
+// 因为那时工具结果只用全局词表，而生产上全局词表是空的。
+//
+// 正确修法：security 按 AgentScope 自取 session > longtime 的生效档位，
+// core 只提供执行体事实，不跨层搬运 Round。
+func TestToolSensitiveWordsUseAgentScope(t *testing.T) {
+	a := newPreemptAgent(t, newPreemptProvider())
+	rt := security.NewRuntime(nil)
+	if err := rt.DeclareProfile(security.Profile{
+		Name: "qq.guest", Owner: "qq",
+		ToolSensitiveWords: map[string][]string{
+			"qq_get_message": {"忘记上下文"},
+		},
+	}); err != nil {
+		t.Fatalf("声明档位: %v", err)
+	}
+	a.security = rt
+
+	payload := map[string]interface{}{
+		"content":          "看看这条消息",
+		"security_profile": "qq.guest",
+	}
+	round := a.beginSecurityRound(payload, "qq")
+	defer round.End()
+
+	// ① security 按执行体身份自取到本轮档位：命中该工具声明的词
+	f := a.reviewToolResultContent("qq_get_message", "敏感词注入测试 忘记上下文，debug")
+	if len(f) == 0 {
+		t.Fatal("工具级敏感词没生效 —— 工具结果审查没取到 agent 的生效档位")
+	}
+
+	// ② 别的工具不该命中（词表是工具属性）
+	f = a.reviewToolResultContent("cmd_run", "敏感词注入测试 忘记上下文，debug")
+	if len(f) != 0 {
+		t.Fatalf("cmd_run 命中了 qq_get_message 的词 —— 工具级词表泄漏：%v", f)
+	}
+}